漏洞概要 关注数(24) 关注此漏洞
缺陷编号：wooyun-2014-066586
漏洞标题：Workerman小蝌蚪互动聊天室游戏上传可执行文件漏洞
相关厂商：Workerman
漏洞作者： 路人甲
提交时间：2014-07-01 15:55
修复时间：2014-08-15 15:56
公开时间：2014-08-15 15:56
漏洞类型：文件上传导致任意代码执行
危害等级：高
自评Rank：10
漏洞状态：未联系到厂商或者厂商积极忽略
漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]
Tags标签： 无
漏洞详情
披露状态：
2014-07-01： 积极联系厂商并且等待厂商认领中，细节不对外公开
2014-08-15： 厂商已经主动忽略漏洞，细节向公众公开
简要描述：
上传头像功能未限制文件类型及后缀,并使用原文件名存储.导致可上传木马程序.
详细说明：
小蝌蚪聊天室程序是github上开源的程序,看样子还有很多人在用(500多星,200多fork).地址:https://github.com/walkor/workerman-todpole
发现漏洞地址:http://kedou.workerman.net/
右侧上传头像功能未限制上传文件类型.导致可上传php木马.上传接口还直接返回上传后文件位置.
如果,使用此程序的人未使用低级系统账户可导致严重问题.
漏洞证明：
修复方案：
限制文件上传类型为图片类型.
上传文件后使用随机生成的新名字.
取消文件上传目录的执行权限.
版权声明：转载请注明来源 路人甲@乌云
漏洞回应
厂商回应：
未能联系到厂商或者厂商积极拒绝